Уязвимости web-приложений и обеспечение их безопасности

Использование фальсификации заголовков запросов

Adobe Flash позволяет посылать заголовки HTTP -запросов из сценариев, использующих Flash Action Script. Возможность для злоумышленников заставить браузер жертвы посылать HTTP -запросы третьей стороне имеет серьезные последствия для безопасности.

Браузеры накладывают ограничения на размер кода (потенциально вредоносного), который может быть послан внутри фальсифицированного заголовка запроса. Такое ограничение снижает риск уязвимости. Но Flash позволяет злоумышленникам обойти это ограничение путем упаковки фальсифицированных запросов в Flash -файл. Специальным образом подготовленный Flash -файл доставляет вредоносный код атакуемому браузеру, что увеличивает риск успешной атаки веб-сервера.

Черные ходы в медиа-файлах

Использование сценарных возможностей одного приложения для реализации уязвимости в другом достаточно широко используется в Web. Потенциально это может даже привести к выявлению черных ходов в pdf -файлах, поскольку pdf -файлы могут содержать в себе JavaScript сценарии. В последнее время стала рассматриваться возможность обнаружения черных ходов в MP3 -файлах.

Сигнатурный анализ

Распознавание атак по сигнатурам становится все более проблематичным. Во-первых, сигнатур становится настолько много, что их перебор начинает поглощать все более заметные ресурсы процессора. Во-вторых, многие вредоносные коды содержат в себе механизмы активной вариации сигнатуры. Кроме того, не следует забывать об атаках нулевого дня, которые несут в себе наибольшую угрозу. В качестве альтернативы сигнатурному распознаванию может рассматриваться регистрация аномального поведения машины или всей локальной сети, которое может быть сопряжено с атакой или вторжением.

Сигнатурный анализ вряд ли сможет сегодня предотвратить вторжение, но может составить список клиентов с "дурной" репутацией, доступ которых следует ограничить.

Сегодня должен контролироваться весь не только внешний трафик, но внутренний трафик на предмет содержания вредоносных кодов. Современные системы противодействия вредоносным кодам могут включать в себя подсистемы фильтрации cookie и заголовков.

Меры по защите от интернет-атак

Самый простой способ проверки интернет-контента - это использование какого-нибудь приложения, проверяющего входящий HTTP -трафик. В ходе такой проверки приходящий контент обычно передается антивирусной программе, что позволяет блокировать страницы, содержащие заведомо вредоносные программы и скрипты.

Проверка контента на интернет-шлюзе позволяет обеспечить дополнительный уровень защиты пользователей с помощью антивирусных программ. Проверка контента и фильтрация URL -адресов превосходно дополняют друг друга, обеспечивая защиту при изменении источника и метода атаки.

В веб-приложениях также обычно применяется какая-либо форма классификации URL -адресов. При этом запросы к заведомо вредоносным адресам или доменам могут блокироваться вне зависимости от того, был ли обнаружен вредоносный контент. Безусловно, это полезно с учетом того, что хакеры активно используют автоматизацию для постоянного изменения угроз с целью избежать обнаружения. Успех блокирования запросов к заведомо вредоносным доменам зависит от своевременного обновления списка подобных сайтов. Эффективность применения такого списка определяется рядом факторов, в числе которых:

• Релевантность данных. Сбор необходимой информации о вредоносных интернет-программах для выявления новых атак должен производиться максимально быстро. Системы должны иметь глобальный охват. В таких решениях могут использоваться автоматические интернет-боты или совместная работа с партнерами, позволяющая собрать максимальный объем данных об интернет-угрозах.
• Серверная поддержка. Для обработки поступающих данных о URL -адресах, проверки контента и оперативной публикации необходимых данных, используемых соответствующими продуктами, требуются сложные системы обработки и публикации. Такие системы должны быть способны отслеживать угрозы и вести анализ вредоносных интернет-программ в реальном времени, гарантируя выявление всех используемых в атаке файлов и блокирование всех задействованных URL -адресов.
• Фильтрация URL -адресов также может использоваться для управления типами сайтов, которые пользователям разрешается посещать. Сайты, относящиеся к порнографическим, игровым или развлекательным, могут быть закрыты в пределах организации (поскольку они опасны или мешают работе). Точность классификационных данных определяет, насколько успешной окажется фильтрация URL -адресов. По этой причине в некоторых продуктах по лицензии используются данные от сторонних компаний, что повышает их способность к классификации URL -адресов.

Одним из главных и безусловных требований является своевременное обновление всех системных и прикладных программ.

Браузеры (в частности, Internet Explorer ) и веб-серверы довольно часто становятся объектами атак. Cвязано это с тем, что они являются широко распространенными и достаточно сложными программами, которые пользователи не обновляют своевременно. Уязвимость веб-сервера возрастает, когда он предоставляет хостинг для размещения десятков, а иногда и тысяч, веб-серверов клиентов. Особую угрозу представляют взломанные машины, которые превращены в прокси-серверы. Это позволяет злоумышленнику замаскировать свою активность.

Так как некоторые сайты нельзя просмотреть, если запретить выполнение JavaScript, Java -аплетов, .NET -приложений, Flash или ActiveX, разрешение работы этих программ в рамках браузера на компьютере пользователя открывает двери для вторжений в случае наличия ошибок в кодах web-приложений, которые принимают ввод пользователей и используют cookies. Любые web -приложения, которые предполагают ввод текста в диалоговом режиме (блоги, wiki, комментарии и пр.) потенциально могут стать средством ввода вредоносного кода и последующей пересылки его другим пользователям.

Многих угроз можно избежать, если сформировать шлюз веб-сервера, который может:

• Фильтровать URL, препятствуя заходам на скомпрометированные веб-узлы.
• Выявлять вирусы, нежелательные программы, троянских коней, червей, и др.
• Выявлять истинный тип файла, а не полагаться на расширение имени.
• Обеспечивать работу SSL с высоким уровнем защиты
• Блокировать доступ в случае, если вместо имени машины используется IP -адрес
• Исполнять коды, только если они получены из проверенных URL
• Автоматически и регулярно (до нескольких раз в день) обновлять базу данных вредоносных кодов, вирусов и т.д.
• Блокировать работу, если число соединений слишком велико или, если загружаемый web -модуль оказался слишком велик.
• Не доверять IP -адресам ( web -объектов), присылаемым пользователями.

Наиболее эффективной может считаться многоуровневая защита:

• Использование анти- SPAM фильтра с репутационным компонентом.
• URL -фильтрация с включением отбора по репутации.
• Сканирование на предмет наличия вредоносных JavaScript вставок в сообщение или приложение, а также в тексты откликов на веб-запросы.
• Блокировка пересылки из серверов любых персональных данных.

Firewall (брандмауэр, межсетевой экран) - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами.

Основной задачей Firewall'а является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также Firewall 'ы часто называют фильтрами, так как их основная задача - не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Средства защиты от веб-атак в Internet Explorer 8

• Защита от исполнения вредоносного кода.
• Защита от фишинга.
• Обеспечение приватности.
• Дополнительные механизмы защиты Internet Explorer 8.

Для защиты от исполнения вредоносного кода в IE8 используется фильтр SmartScreen Anti-Malware. Функционирование данного фильтра основано на URL -репутации - это означает, что он оценивает серверы, ответственные за загрузки и определяет, числятся ли они в списках распространителей небезопасного содержимого.

Данный фильтр :

• Проверяет веб-сайты на его присутствие в динамически обновляемом списке сайтов, заподозренных в фишинге.
• Проверяет загружаемое ПО на его присутствие в динамически обновляемом списке сайтов с вредоносным ПО.
• Предостерегает от посещения фишинговых веб-сайтов и других веб-сайтов, содержащих вредоносные программы, которые могут похищать идентификационную информацию.

При включенном фильтре SmartScreen в случае попытки пользователя перейти на один из упомянутых выше web-сайтов появляется окно с рекомендацией отказаться от продолжения этого действия.

Поведенческий фильтр URL

Сегодня многие сайты используют аггрегирование данных ( MashUp ) собственного содержания и информации, полученной с других сайтов, например, интерактивные веб-карты с дополнительными слоями. Однако многие веб-приложения уязвимы для атак межсайтового выполнения сценариев ( XSS ). IE8 - первый браузер, который имеет встроенную защиту от подобных угроз. Его фильтр способен обучаться - любой пользователь может внести посильный вклад в повышение безопасности интернета, сообщая о подозрительных ресурсах.

Антифишинговый фильтр ( Social Engineering Defenses ) IE 8 обращает внимание пользователя на сайт, на который осуществляется переход, предостерегая владельца компьютера от неверных действий и непродуманных решений.

В IE 8 реализована обработка доменных имен в адресной строке браузера. Эта технология помогает быстро и точно выяснить, является ли открываемая страница той, которую предполагалось открыть. В адресной строке название сайта выделяется черным цветом, а остальные символы в URL -строке отображаются серым. Если переход осуществляется по защищенному соединению ( HTTPS ), то адресная строка подсвечивается зеленым цветом, а когда один из встроенных фильтров предупреждает об опасности, то подсветка становится красной.

Часто возникает необходимость в том, чтобы защитить личные сведения пользователя компьютера. Ими могут быть пароли или история посещения пользователем страниц в интернете, например, при проведении платежных операций или работе с информацией, составляющей коммерческую тайну.

Технология InPrivate

В IE 8 имеется многоуровневый механизм реализации данного вида зашиты. Во-первых, это InPrivate Browsing, режим, когда история посещенных страниц, временные файлы обозревателя ( Temporary Internet files ), данные, внесенные в формы, cookies, имена пользователей и паролине будут храниться ни в браузере, ни в операционной системе. Во-вторых, это InPrivate Blocking - режим фильтрации, который позволяет взять под контроль данные, запрашиваемые сайтом у браузера. И, наконец, это InPrivate Subscriptions (приватные подписки).

Функция просмотра InPrivate предотвращает сохранение данных о сеансах просмотра программой Internet Explorer. Это помогает предотвращать получение посторонними пользователями компьютера информации о посещенных страницах и просмотренном содержимом. При запуске просмотра InPrivate Internet Explorer открывает новое окно. Защита, обеспечиваемая режимом просмотра InPrivate, применяется только во время использования этого окна. В этом окне можно открывать любое количество вкладок, при этом все они будут защищены с помощью режима просмотра InPrivate. Однако при открытии другого окна веб-обозревателя оно не будет защищено с помощью режима просмотра InPrivate. Чтобы завершить сеанс просмотра InPrivate, закройте окно веб-обозревателя.

Фильтрация InPrivate помогает предотвратить сбор поставщиками содержимого сведений о посещенных веб-узлах. Фильтрация работает следующим образом.

Большинство веб-страниц используют содержимое веб-узлов, например рекламные материалы, карты или инструменты веб-анализа, отличающихся от посещаемых. Данные веб-узлы называются поставщиками содержимого или сторонними веб-узлами. При посещении веб-узла со сторонним содержимым некоторые сведения о пользователе отправляются поставщику содержимого. Если поставщик содержимого предоставляет содержимое большому количеству посещаемых веб-узлов, поставщик содержимог может разработать профиль параметров просмотра. Профили параметров просмотра могут использоваться в разных целях, включая анализ и показ адресной рекламы.

Обычно данное содержимое стороннего веб-узла, например встроенное изображение или видеоролик, отображается без проблем. Источником содержимого считается веб-узел, посещенный первоначально, поэтому отслеживание других веб-узлов, которые могут получать сведения о посещенных вами веб-страницах, невозможно. Инструменты веб-анализа или веб-измерения сообщают о том, какие веб-узлы обычно посещает пользователь, и не всегда видны. Несмотря на то что эти инструменты иногда отображаются как видимое содержимое (например, счетчик посещений), они зачастую невидимы для пользователей, как это часто бывает в случае с веб-маяками. Веб-маяки представляют собой, как правило, одноточечные изображения, единственной целью которых является отслеживание использования веб-узлов; они не отображаются в качестве видимого содержимого.

Работа фильтрации InPrivate заключается в анализе веб-содержимого на посещаемых веб-страницах: если аналогичное содержимое используется на нескольких веб-узлах, будет доступна возможность разрешить или блокировать данное содержимое. Можно также выбрать автоматическую блокировку любого поставщика содержимого или стороннего веб-узла, обнаруживаемого с помощью функции фильтрации InPrivate, либо отключить эту функцию.

По умолчанию функция фильтрации InPrivate обеспечивает анализ посещаемых веб-узлов и поставщиков содержимого, однако не блокирует их автоматически. Можно разрешить или блокировать любого поставщика содержимого, определяемого режимом фильтрации InPrivate в качестве узла, обменивающегося параметрами просмотра. В качестве альтернативного варианта, с помощью функции фильтрации InPrivate можно автоматически блокировать любого поставщика содержимого, либо отключить эту функцию.

Расширенная поддержка групповых политик безопасности

В IE8 реализована расширенная поддержка групповых политик безопасности. Она облегчает управление учетной записью пользователя, а в Windows Vista позволяет осуществлять установку элементов управления ActiveX пользователями самостоятельно, так как это не требует администраторских привилегий. Помимо этого, улучшен и контроль управления безопасностью исполнения ActiveX -элементов, поскольку они могут быть потенциальным объектом атаки злоумышленников. Поэтому в IE8 реализована дифференцированная схема управления ActiveX -компонентами. Подобные элементы можно не только разрешать или запрещать на исполнение в браузере целиком и полностью (как было раньше), но и делать это выборочно для каждого сайта. Таким образом, то, что было разрешено для одного сайта, будет запрещено для других сайтов. Разработчики подобных элементов управления при помощи средства ATL (ActiveX SiteLock) могут настроить созданные ActiveX -компоненты с ограничением доступа в виде списка доменов или на определенный период времени.